自定义SSO重定向后如何存储httpOnly Cookie？

你遇到的核心问题是：服务器端设置Cookie后立即发起同站重定向时，浏览器自动发起的跳转请求可能还未完成Cookie的写入，导致请求未携带该Cookie。

虽然Cookie最终会被成功存储到浏览器，但服务器端的即时重定向（3xx响应）会让浏览器在Cookie持久化完成前就发送下一个请求，因此这次跳转请求中不会包含刚设置的Cookie。后续手动访问时，Cookie已经完成写入，所以能正常携带。

针对这个问题，有几个直接的解决办法：

1. 改用客户端跳转代替服务器端重定向 #

放弃res.redirect，改为返回一个包含JS跳转逻辑的页面，给浏览器足够时间完成Cookie写入：

if (req.query.authToken && validateToken(req.query.authToken)) {
    res.cookie("Authorization", req.query.authToken, { 
        httpOnly: true, 
        signed: true, 
        sameSite: "strict",
        path: "/" // 确保Cookie在整个域名下生效
    });
    // 用客户端JS跳转
    res.send(`<script>window.location.href="${req.originalUrl.split("?").shift()}";</script>`);
    return;
}

2. 调整Cookie配置（辅助优化） #

• 添加path: "/"：确保Cookie在整个域名的所有路径下都能被携带，避免因默认路径（当前请求路径）导致的匹配问题。
• 暂时将sameSite改为Lax：Strict模式在某些跨协议/跨场景跳转下会限制Cookie携带，Lax模式更宽松，适合SSO场景的同站跳转。

3. 简化流程，跳过即时重定向 #

验证authToken通过后，直接调用next()进入业务逻辑，同时通过前端路由（如果有）清除URL中的查询参数，这样既避免了重定向的Cookie问题，也提升了用户体验：

if (req.query.authToken && validateToken(req.query.authToken)) {
    res.cookie("Authorization", req.query.authToken, { 
        httpOnly: true, 
        signed: true, 
        sameSite: "strict",
        path: "/"
    });
    // 直接进入业务逻辑，后续由前端处理URL清理
    next();
    return;
}

除了Cookie问题，你的SSO流程还有几个可以优化的点：

1. 避免将authToken放在查询参数中：查询参数会被记录在浏览器历史、服务器日志、代理日志中，存在泄露风险。建议在auth-server重定向时，通过POST请求传递token（比如生成一个临时页面自动提交表单），或者使用Fragment（#后面的内容）传递（不会被服务器记录）。

2. 本地开发启用HTTPS：当前img-server用HTTP运行，而auth-server是HTTPS，跨协议跳转不仅会触发浏览器的安全警告，还可能影响Cookie的安全属性（比如无法设置Secure属性，限制Cookie的安全性）。可以用mkcert等工具生成本地信任的HTTPS证书，让本地服务也运行在HTTPS环境下。

3. Cookie添加Secure属性：当服务部署到生产环境时，务必给Cookie添加Secure: true，确保只有HTTPS请求才能携带该Cookie，防止明文传输泄露。

4. 修复重定向URL拼接错误：当前代码中res.redirect(auth.domain.com/?redirect=https://img.domain.com/${req.originalUrl})缺少协议前缀，应该改为https://auth.domain.com，否则会被视为相对路径导致跳转错误。

内容的提问来源于stack exchange，提问作者Mithras